- Expediere
- 23 septembrie 2026 la 01:21 UTC
- Autor
- Kamo
- Comite
- 168cc8a
CheckFileInfo a fost singurul obiectiv WOPI care a comparat token-ul de acces document împotriva căii de solicitare și acces live reverificat; GetFile, PutFile; Name a verificat semnătura și expirarea jetonului, apoi a acționat pe orice imgId a arătat până în URL. Un jeton menţionat de Post /api/docs/deschis/{imgId} pentru un document a membru deschis în mod legitim ar putea citi sau suprascrie orice alt document în orice organizație prin editarea căii, și ar putea bloca, debloca sau sonda blocare oricărui document în același mod. Un jeton valabil al unei acțiuni numai pentru citire de asemenea, ar putea suprascrie documentul direct, ocolind steagul utilizatoruluiCanWrite checkFileInfo i-a spus deja editorului să pună în aplicare partea clientului. Fiecare obiectiv WOPI necesită acum subiectul JWT al jetonului (imgId WopiTokenService semne în timp de mentă) pentru a egala calea lui imgId, și reverifică DocumentService.canUserAccess (citește: GetFile, GET LOCK) sau canUserWrite (writes: PutFile, PutRelativeFile, RenameFile, LOCK/UNLOCK/ REFRESH LOCK) împotriva bazei de date, în loc să se încreadă în creanţele jetonului accesul poate fi revocat sau expirat după ce jetonul este mentat, astfel încât un control live este strict mai puternic decât o cerere de permisiune statică. Refuzat autentificat octeți citiri/scrieri sunt acum înregistrate prin DocumentAccessAuditor în același mod Un semn invalid era deja. Test nou: WopiControllerAccessTest (11 cazuri care acoperă fiecare criteriu de evaluare enumerat mai sus); verificat de mutație prin revenirea WopiController se modifică la nivel local, care Se transformă toate 11 roșu, apoi restaurarea. WopiControllerAuditTest și WopiEditSessionTest actualizate pentru a împiedica controalele de acces necesare în prezent, deoarece toate cazurile lor existente Presupune un apelant autorizat.